Oktaを使用してSSO認証を設定する#

#目的

このガイドでは、Oktaを使用してData Platformアプリケーションにログインする方法を説明します。

IAMを開き、Auth. Providerをクリックします。

まだ行っていない場合は、Data Platformに新しいOkta認証プロバイダーを追加してください。そうでない場合は、編集するだけです。

設定は2つの部分に分かれています。まず、Oktaでの権限を設定し、次にData Platform Identity Access Managerで認証プロバイダーを設定します。

#Oktaでの設定

Okta環境でData Platformをアプリケーションとして登録する必要があります。Okta環境を開きます。

#ステップ1. OktaにIdentity Access Managerを登録する

Okta内にアプリケーションを登録する必要があります。これは、Oktaに接続したい任意のアプリケーションで動作しますが、今回はData Platform IAMを直接登録します。

サイドバーでApplicationsを選択し、次にCreate App Integrationをクリックします。

方法としてOIDC (OpenID Connect)、アプリケーションタイプとしてWeb Applicationを選択します。

Nextを押します。

#コールバックURL

この新しいアプリケーションに任意の名前を付け、Grant TypeがAuthorization Codeであることを確認します。

Sign-in Redirect URIsセクションまでスクロールします。

URLフィールドに、Data Platformで追加した新しい認証プロバイダーのReply URLフィールドをコピーして貼り付けます（これはData Platform IAM全体で同じです）。

新しいアプリケーション統合を保存します。

#ステップ2. ドメインを取得する

ドメインはOktaのテナントIDに相当します。アプリケーションの一般設定で、Okta domainセクションを探します。

#ステップ3. クライアントIDを取得する

クライアントIDはアプリケーション固有のものです。アプリケーションのクライアント資格情報で、Client IDセクションを探します。

#ステップ4. クライアントシークレットを取得する

クライアントシークレットはアプリケーション固有のものです。アプリケーションのクライアント資格情報で、Client secretセクションを探します。

#まとめ

前のステップを正しく実行した場合、この情報のリストを取得する必要があります。

Okta domain (Step 2): xxxxxxxxxx.okta.com
Client ID (Step 3): XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
Client secret (Step 4): XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

#Data Platform Identity Access Manager の設定

Data Platform Identity Access Manager で新しい認証プロバイダーを設定する必要があります。

#基本情報の入力

• 名前 / 説明: これは新しい認証方法の内部名と説明です
• ディレクトリ: このディレクトリから作成されるすべてのアカウントの統一タグです。例えば、Okta を入力できます
• タグ: さらにタグ付けオプションを提供します。完全にオプションです
• 返信 URL: これは認証プロバイダーがリダイレクトする Data Platform の URL です
• アクティブ: この認証プロバイダーがログインに使用できるかどうかを指定します

#Okta 設定の入力

次に、Okta Configuration パネルを見つけます。

前のセクションで Okta で収集した情報を次のように入力します:

• ドメイン: Okta ドメイン (Okta の設定のステップ 2 で取得)
• クライアント ID: クライアント ID (Okta の設定のステップ 3 で取得)
• クライアント シークレット: クライアント シークレット (Okta の設定のステップ 4 で取得)
• スコープ: これは Data Platform が Okta からアクセスできる情報の量を表します。このフィールドはオプションです: デフォルト値は openid email profile です

#バインドルールの入力

Bindings パネルでは、Okta と Data Platform の間のフィールドのマッピングをカスタマイズできます。

メール、ログイン、名前、姓はデフォルトでマッピングされています。

必要に応じて、Okta から Data Platform Identity Access Manager に追加情報を保存するためにバインドを上書きできます。例えば、職務名などです。

バインドを設定する最も簡単な方法は、ユーザーのログインから応答を取得することです。次の手順に従ってください:

1 - 新しく設定した Okta 認証プロバイダーを使用して、Data Platform の任意のアプリケーションにサンプルログインします。 2 - IAM 認証プロバイダー (ここでは Okta) の Log History ページを開きます。

3 - 最新のログを開きます: Okta からの元の応答は次のようになります:

{
  "sub": "00u4au2tpeFfNw3uR696",
  "name": "John Smith",
  "email": "jsmith@example.com",
  "ver": 1,
  "iss": "https://example.okta.com",
  "aud": "4j63bjk34b6jk3b",
  "iat": 1634310728,
  "exp": 1634314328,
  "jti": "ID.TRhY73q_LejPMKVxrt936nLTLaayJJgPMni78ww0ouQ",
  "amr": [
    "mfa",
    "pwd",
    "otp"
  ],
  "idp": "00o4au2o4QD29JO5Q696",
  "preferred_username": "jsmith@example.com",
  "auth_time": 1634310281,
  "at_hash": "OExX1fo9d8vq-z2-vZtkIg",
  "user": {
    "sub": "00u4au2tpeEfNw3uR696",
    "name": "John Smith",
    "locale": "en-US",
    "email": "jsmith@example.com",
    "preferred_username": "jsmith@example.com",
    "given_name": "John",
    "family_name": "Smith",
    "zoneinfo": "America/Los_Angeles",
    "updated_at": 1634310506,
    "email_verified": true
  }
}

4 - デフォルトのメール、ログイン、名前、姓に加えて、Okta からの任意の追加プロパティを "JSON" モードを使用して Data Platform のカスタム configuration.XXX フィールドに保存できます。

例えば、Okta の name フィールドから Data Platform に fullname プロパティを追加できます:

{
  "login": "email",
  "email": "email",
  "pronoun": "",
  "firstname": "user.given_name",
  "lastname": "user.family_name",
  "configuration.fullname": "name"
}

#カスタム マッピング

Custom mappings パネルでは、この認証プロバイダーを通じてログインしたすべてのユーザーを自動的にロールまたはグループに割り当てることができます。

カスタム マッピングの設定方法を学ぶ。

#ライブ設定

Okta コネクタの設定は完了です! まだ行っていない場合は、Create をクリックします - それ以外の場合は Save を確認してください。

認証プロバイダーのリストで、新しい方法を確認できます。active に設定していることを確認してください。

この新しい認証方法が表示されるように、選択したアプリケーションに対して設定してください。今ではアプリケーションのログインページに Okta オプションが表示されるはずです。それをクリックすると、Okta ログイン画面にリダイレクトされます。または、すでにアカウントにログインしている場合は、直接アプリケーションにアクセスできます。

アプリのログインページに Okta を表示する

#さらに詳しく

ソリューションの実装に関するトレーニングや技術サポートが必要な場合は、営業担当者にお問い合わせください。または、専門家がプロジェクトを分析するためにプロフェッショナルサービスページを訪れ、見積もりをリクエストしてください。

Data Platform を構築するチームと直接質問し、フィードバックを共有し、相互作用するには、専用のDiscord チャンネルをご利用ください。

OVHcloud サービスに関するサポートが必要な場合は、ヘルプセンターでリクエストを作成してください。

ユーザーコミュニティに参加してください。